Seltsames angebliches Windows-Programm installiert

[Serjo]

Ich hab vor etwa 25 Minuten den Emsisoft-Scan gestartet, war aber währenddessen längere Zeit afk. Bevor ich den PC verlassen habe, hab ich nur von einem Fund was mitbekommen, der sah aber harmlos aus und war auf jeden Fall nicht in Zusammenhang mit dem hier. Als ich dann wieder zurückkam, hatte der PC sich neugestartet ohne dass ich gefragt wurde, und vom Scan bzw. dessen Ergebnis sehe ich nirgends etwas. Ist es normal dass am Ende des Scans ein Neustart kommt? Falls man darüber informiert wird, hab ich das nicht mitbekommen weil ich eben afk war.

@Bolko
Ich hoffe dass das stimmt, und da das Programm eben direkt nach einem Windows-Update kam, bin ich auch eher geneigt zu glauben dass es legit ist, aber dass man über Google absolut nichts darüber finden kann, macht mich dann doch direkt wieder stutzig. Ich kann doch nicht der einzige sein der plötzlich so ein komisches Programm installiert bekommt und sich dann darüber wundert und Foren konsultiert.

EDIT:
Ich hab gerade eben auch noch im Taskmanager einen neuen Dienst entdeckt der auch damit zu tun zu haben scheint. Im Taskmanager wird er als osrss angezeigt, aufgeklappt dann "OS Remediation System Service", Beschreibung "A lightweight service for understanding and remediating OS update issues.", falls jemand damit irgendwas anfangen kann..

 

[purzelbär]

Serjo, ich würde an deiner Stelle entweder ein Systembackup einspielen welches du hoffentlich hast(ich predige das ja oft genug auch hier im Forum)oder aber wenn du kein Systembackup hast, in den sauren Apfel beißen, Daten sichern, Iso Image von Windows 10 1709 runterladen und auf DVD oder USB Stick brennen, dann Partitionen löschen, Festplatte formatieren, Partitionen wieder neu anlegen und dann Windows 10 1709 plus Programme usw. alles neu installieren. Wenn das alles gemacht gemacht ist, an Systembackups denken und gleich damit anfangen.

 

[Bolko]

Ist es normal dass am Ende des Scans ein Neustart kommt?

Nein.

Ergänzung (9. Februar 2018)

Im Taskmanager wird er als osrss angezeigt, aufgeklappt dann "OS Remediation System Service", Beschreibung "A lightweight service for understanding and remediating OS update issues.", falls jemand damit irgendwas anfangen kann..

osrss = o[sr]ss = Office of Strategic Services = Vorgänger der CIA
Die eckigen Klammern sind der Bunker.
Das s ist ein Soldat.
Das r ist die Kanone, die auf dich zielt.
Sie haben dich im Visier.
Das kommt davon, wenn man mal versehentlich den Aluhut vergessen hat und Win10 einsetzt.

 

[Serjo]

Nein ich hab kein Backup, und wie gesagt will ich nur formatieren wenn es auch wirklich feststeht dass das nicht von MS ist. Ich will mir keine tagelange Arbeit antun nur um dann evtl. kurz darauf herauszufinden, dass das ein normales Programm von MS ist. Ich mein, für wie wahrscheinlich hältst du es denn dass eine Malware direkt nach einem Windows-Update auf meinem System landet? Ergibt das irgendeinen Sinn für dich (oder sonst irgendwen hier)?

Btw. hab ich grade auch noch nen Avast-Scan gemacht der nichts gefunden hat.

EDIT @Bolko
Ok das ist beunruhigend. Was soll denn der zweite Teil? Du siehst doch selber dass eigenartige Dinge auf meinem PC passieren, u.a. direkt der Neustart beim Scannen, wofür der Sarkasmus? Dafür braucht man keinen "Aluhut" um durch sowas beunruhigt zu werden.

 

[Bolko]

Es ist schließlich Karneval oder Fasching oder wie auch immer.
;-)

Mach den Scan einfach noch mal.
Vielleicht hat Windows 10 mal wieder selber gestartet, weil es unbedingt ein Update installieren möchte.

Aber genau diese nicht verhinderbaren Feature-Updates könnten eben auch einen Staatstrojaner (vorübergehend) deinstallieren, wenn Windows merkt, dass jemand aktiv nach so einem tief verborgenen Schädling sucht.
Dann findet man natürlich nach dem Neustart nichts mehr.
Sobald die Scannerei aufhört plus Toleranz von ein paar Tagen, schieben sie dir wieder den Staatstrojaner unter.
Technisch wäre sowas möglich.
Also wird sowas auch gemacht.
Ob das bei dir der Fall ist weiß ich nicht, da du kein Backup gemacht hast, den man untersuchen könnte.

 

[Serjo]

Gibt es denn hier niemanden der die oben erwähnten Versionen von W10 hat (1507, 1511, 1607, 1703), also nicht die aktuelle 1709, und mir sagen kann wie es bei ihm ausschaut? Ich weiß echt nicht mehr was ich machen soll...

 

[mugam]

Ich habs bereits auf 5 Rechner mit 1703 gefunden - aber du wirst eh nicht zu beruhigen sein - also installiert 1709 und gut ist es ...

Für mich sind die Links eindeutig, man muss sie nur lesen ....

 

[purzelbär]

Serjo, so weit ich weiß kannst du bei Windows 10 also jetzt bei 1709 es so wählen das deine installierten Apps bzw Programme und alles andere von dir erhalten bleibt und das Windows 10 Setup quasi nur 1709 installiert.

 

[Serjo]

Dieser Kommentar kann ignoriert werden, er hat mit einem anderen Problem zu tun das bereits gelöst wurde.

Leute ich bin hier grade echt am Verzweifeln...

Ich schreib gerade von meinem billigen Mini-Laptop, der PC ist grade unbenutzbar geworden: Ich habe insgesamt 3 Emsisoft-Scans gemacht. Zuerst wusste ich nicht was beim ersten schiefging, jetzt vermute ich dass es ein Bluescreen war, da auch beim dritten Scan ein Bluescreen kam. Der zweite Scan lief normal durch und es wurde nur etwas anscheinend Harmloses gefunden, das ich aber dennoch löschen wollte. Mir wurde von Emsisoft gemeldet dass ich dafür die Antivirus-Komponente (oder so) herunterladen sollte, was ich auch direkt über das Programm selbst gemacht habe. Da es aber nicht möglich war vorher entdeckte Dinge entfernen zu lassen, musste ich nun einen dritten Scan starten, der eben wie gesagt mit einem Bluescreen endete (KERNEL_SECURITY_CHECK_FAILURE).

Einige Sekunden später, nach dem automatischen Neustart des Bluescreens: Ich log mich wieder auf meinem Benutzer ein und krieg direkt mal jede Menge Fehlermeldungen dass dies und jenes nicht geladen werden konnte (Programme/Dienste/Treiber o.ä.), von Emsisoft ne Meldung dass es zu Konflikten mit Avast kommen könnte etc. Ich konnte weder den Taskmanager starten, noch Emsisoft deinstallieren, noch normal neustarten, also musste ich den Ausschaltknopf gedrückt halten und den PC so neustarten. Tja und seitdem bekomme ich nach dem Anmeldescreen (der nach Passworteingabe viel zu lange lädt) nur mehr einen schwarzen Screen auf dem noch mein Mauscursor auftaucht, den ich bewegen kann, aber mehr nicht. Was mach ich denn jetzt? -.-

Da das Problem nach der Installation von Emsisofts AV losging, bzw. dem Bluescreen während dem Scan, denke ich dass womöglich, wie Emsisoft gemeldet hat, irgendein Konflikt mit Avast auftritt der zu dem führt. Kann ich irgendwie Emsisoft deinstallieren OHNE mich vorher auf meinem Windows-Konto anmelden zu müssen?

Btw. wenn ich STRG+ALT+ENTF drücke, dann Pfeil runter und Enter, ändert sich der Mauscursor zum Lade-Cursor, es passiert also offenbar etwas im Hintergrund, und nach mehreren Minuten kommt dann eine Meldung mit dem Titel "Fehler beim Anzeigen der Sicherheits- und Herunterfahroptionen" und dem Inhalt "Während der Anmeldung konnten beim Drücken von STRG+ALT+ENTF keine Sicherheits- und Anmeldeoptionen angezeigt werden. Falls Windows nicht reagiert, drücken Sie die ESC-Taste, oder starten Sie den PC mithilfe des Netzschalters neu." - ESC zu drücken schließt nur das Fenster, aber es ändert sich nichts...

 

[purzelbär]

Versuch mal ob du im Abgesicherten Modus: http://www.deskmodder.de/wiki/index.php/Abgesicherten_Modus_in_Windows_10_starten starten kannst und wenn das klappt, lade mit deinem Mini Laptop avastclear: https://www.avast.com/de-de/uninstall-utility sowie das Uninstall Tool für Emsisoft Anti Malware Emsiclean: https://helpdesk.emsisoft.com/Knowl...an-i-completely-uninstall-an-emsisoft-product runter, packe beide Tools auf einem USB Stick und deinstalliere von dem aus im Abgesicherten Modus mit den Tools Avast und dann Emsisoft Anti Malware und schau danach ob dein PC wieder normal bootet.

 

[Bolko]

Abgesicherter Modus starten:
Beim Booten Shift und F8 gedrückt halten. (oder war es STRG und F8 ?)
Am besten vorher im UEFI Fast Boot ausschalten.

Alternative 0:
Restore von Backup
am schnellsten und funktioniert immer zu 100%

Alternative 1:
Von Windows 10 DVD booten und Reparatur auswählen.

Alternative 2:
SystemRescueCD starten

Alternative 3:
Ultimate Boot CD starten

Alternative 4:
ERD Commander Boot CD starten

Im abgesicherten Modus Avast und Emsisoft AV deinstallieren.
Avast nochmals mit dem Avast Uninstall Tool löschen.

Niemals 2 Antivirusprogramme gleichzeitig installieren.
Emsisoft kann Schädlinge auch entfernen, ohne den Antivirus zu installieren.
Das war kein muss, sondern nur Werbung, um dich aufs kostenpflichtige Produkt zu ziehen.
Musst besser lesen was da steht.

Avast würde ich sowieso löschen, weil der nichts findet, zu viele Fehlalarme hat und zusätzliche Sicherheitslöcher ins System reißt.

Noch besser:
Ein Betriebssystem benutzen, das funktioniert und nicht solche Sperenzchen macht.
Linux Mint Cinnamon
Antergos
Deepin
OpenSuse Leap
Windows 7

 

[Serjo]

Ok, im abgesicherten Modus komme ich immerhin noch rein. Ist denn für die Entfernung von Emsisoft dieses Tool notwendig das purzelbär gepostet hat, oder reicht die Deinstallation? Avast würde ich erstmal lieber drauflassen, womöglich läuft es ja schon nach der Deinstallation von Emsisoft wieder normal, oder meint ihr es ist unbedingt notwendig gleich beim ersten Versuch beides zu entfernen?

 

[Bolko]

Für Schritt 1 reicht es auf jeden Fall nur eins von beiden zu löschen.

 

[Serjo]

Oh Mann, tausend Dank euch beiden! Hab grade Emsisoft normal deinstalliert, neugestartet und kann mich wieder normal einloggen, war also tatsächlich nur ein AV-Konflikt und nichts Schlimmeres.

@Topic: Was ich schreiben wollte bevor der Bluescreen kam war @mugam

Ich habs bereits auf 5 Rechner mit 1703 gefunden - aber du wirst eh nicht zu beruhigen sein - also installiert 1709 und gut ist es ...

Für mich sind die Links eindeutig, man muss sie nur lesen ....

Den Link hab ich schon durchgelesen, da steht aber nichts von den Programmen die bei mir installiert wurden. Sind denn auf den 5 PCs die du überprüft hast auch zwei Programme installiert worden, einmal "Update for Windows 10 for x64-based Systems (KB4023057)" und einmal "Windows Setup Remediations (x64) (KB4023057)"? Und läuft auf denen auch ein Dienst names osrss bzw. ausgeschrieben "OS Remediation System Service"?

 

[Dr. McCoy]

Bei den ganzen Dingen die ich da sichern und neu installieren/kopieren müsste, würde eine Neuinstallation ewig dauern.

Dazu erstellt man regelmäßig Images und sichert sie intern. Dann stellt sich die Frage gar nicht erst.

Nein ich hab kein Backup

Das ist ganz schlecht. Sorge künftig für regelmäßig erstellte, externe Images. Das ist Bestandteil des Einmaleins der IT.

Ich mein, für wie wahrscheinlich hältst du es denn dass eine Malware direkt nach einem Windows-Update auf meinem System landet?

Wenn Du im Bereich der Absicherung Deines Systems ähnlich nachlässig bist wie bei den Backups, dann für sehr wahrscheinlich.

Da jetzt noch gravierendere Probleme dazu gekommen sind, boote von einem Live-System aus und sichere erstmal Deine Daten extern auf zwei externen Festplatten in Mehrfachkopie.

 

[Bolko]

1.
Mach jetzt erstmal einen Backup von Windows mit "Macrium Reflect" und kopiere das Backup zusätzlich auf eine externe Festplatte und/oder auf einen Stick.

Private Dateien wie Dokumente und Bilder ebenfalls sichern.
Evtl mit WinRAR (wegen Checksummen und Wiederherstellungsinformationen) oder 7zip statt mit Macrium Reflect.


2.
Danach evtl. die Checksummen der sdb Datei überprüfen, indem du die mit der von mugam abgleichst.

C:\WINDOWS\AppPatch\Custom\Custom64\{5534e02f-0f5d-40dd-ba92-bea38d22384d}.sdb



3.
Was hatte Emsisoft Emergency Kit denn gefunden?
Name, Screenshot?

 

[Serjo]

@Dr. McCoy
Ich bin eigentlich recht vorsichtig, und wie gesagt habe ich in letzter Zeit abgesehen von diesem Windows-Update selber nichts installiert. Das neue merkwürdige Programm kam direkt nach dem Windows-Update, das hab ich ja schon mehrmals erwähnt. Die noch gravierenderen Probleme haben sich ja eben schon erledigt (hoffentlich dauerhaft).

@Bolko
Ich weiß garnicht wie ich irgendwelche Checksummen herausfinden kann, was muss ich dafür tun? Und da der MS-Support um diese Zeit garnicht zu erreichen ist, könnte ich auch garnicht herausfinden ob sie stimmen oder nicht, kann ja niemanden fragen.

Was würde es denn bringen jetzt noch ein Backup zu machen? Falls das wirklich nicht von MS ist, würde ich das/die Programm/e doch damit direkt mitsichern.

EDIT:
Emsisoft hat unter HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432NODE\SIMPLITEC gefunden, sagt aber selber unter Risikolevel "Kein Risiko". Anscheinend eine Art Adware die installiert werden wollte, nicht installiert wurde (habe nichts von Simplitec installiert), aber dennoch einen Eintrag in der Registry hinterlassen hat. Kann ich diesen Eintrag einfach selber löschen und die Sache hat sich erledigt?

Ich verstehe btw. nicht was du im letzten Post mit WinRAR bzw. 7zip meinst. Kann ich mit einem der beiden Checksummen prüfen? Ich habe beide installiert, hab sowas aber nie gemacht.

 

[Bolko]

Checksummen macht man zum Beispiel mit "HashMyFiles"
https://www.nirsoft.net/utils/hash_my_files.html


Oder im TotalCommander
Datei, Erzeuge Quersumme
https://www.ghisler.com/deutsch.htm

 

[Serjo]

Kann man das nicht auf einer Website machen lassen, oder mit einem Tool von Microsoft bzw. einem bekannten Unternehmen? Ich fühl mich nicht wirklich wohl damit ein Programm zu verwenden das ich garnicht kenne und von dem ich nie gehört habe.

In deinem vorherigen Kommentar hattest du geschrieben:

Private Dateien wie Dokumente und Bilder ebenfalls sichern.
Evtl mit WinRAR (wegen Checksummen und Wiederherstellungsinformationen) oder 7zip statt mit Macrium Reflect.

Das klang irgendwie als könnte man mit diesen Programmen ebenfalls Checksummen herausfinden? Die hab ich wie gesagt beide schon drauf.

Abgesehen davon, womit soll ich denn die Checksumme vergleichen? In dem Link den mugam geposted hat, steht doch überhaupt nichts über diese Datei, also {5534e02f-0f5d-40dd-ba92-bea38d22384d}.sdb, aber du meintest doch grade ich soll die abgleichen mit "der von mugam"?

 

[Bolko]

Kann man das nicht auf einer Website machen lassen, oder mit einem Tool von Microsoft bzw. einem bekannten Unternehmen?

Microsoft File Checksum Integrity Verifier
https://www.microsoft.com/en-us/download/details.aspx?id=11533

Webseite Online md5
http://onlinemd5.com/

Das klang irgendwie als könnte man mit diesen Programmen ebenfalls Checksummen herausfinden?

WinRAR kann zusätzlich zu den komprimierten Dateien noch Wiederherstellungsdaten und Wiederherstellungsvolumen (letzteres nur bei mehrteiligen Archiven) erzeugen. Dadurch kann man auch schwer beschädigte Archive fehlerfrei restaurieren.
Daher benutze ich das für Backups meiner wichtigsten Daten.
Checksummen alleine kann man damit nicht berechnen.

Abgesehen davon, womit soll ich denn die Checksumme vergleichen?
[...]du meintest doch grade ich soll die abgleichen mit "der von mugam"?

Mit der Datei, die mugam bei sich auf dem Computer gespeichert hat.
Er sagte in Beitrag #47, er habe diese Datei auf 5 Rechnern gefunden.
https://www.computerbase.de/forum/t...ramm-installiert.1747490/page-3#post-20922709

Also er und du müssen für jeweils die eigene sdb-Datei die Checksumme berechnen und wenn die stimmt, dann steigt die Wahrscheinlichkeit, dass alles ok ist und die Datei von Microsoft stammt.
Oder seine 5 Rechner und dein Rechner sind alle vom selben Schädling befallen, was ich aber nicht glauben möchte.

Microsoft veröffentlicht bei vielen Updates auch eine zugehörige Dateiliste im csv Format.
Vielleicht findet man die passende csv und die sdb-Datei steht da drin.